Una vulnerabilità di directory traversal nel servizio sigd (signature daemon) di WatchGuard FireWare OS consente a un attaccante remoto autenticato di creare file arbitrari sul filesystem target. Scoperta da Nicholas Zubrisky di TrendAI Research e divulgata il 29 luglio 2026 dall'advisory ZDI-26-501, la falla si presta a una catena di exploit che può portare all'esecuzione di codice nel contesto dell'utente samld. Il pericolo non sta nella singola primitiva — la creazione di file — ma nella sua capacità di concatenarsi con altre vulnerabilità non specificate per compromettere il perimetro di sicurezza di un asset critico.
- Il CVE-2026-13054 ha un punteggio CVSS 4.0 di 8.6 HIGH, con attacco da rete e privilegi elevati richiesti.
- La falla risiede nella funzione comp_start_cb del servizio sigd, dove manca la validazione del percorso utente durante l'estrazione di archivi pacchetti firma.
- Le versioni affette comprendono Fireware OS 11.0-11.12.4_Update1, 12.0-12.12 e le release 2025.1-2026.2.
- Il percorso di attacco richiede autenticazione e la combinazione con altre vulnerabilità per raggiungere l'esecuzione di codice come utente samld.
La falla nel servizio sigd: come funziona il meccanismo
Il servizio sigd gestisce le operazioni di firma digitale su WatchGuard FireWare OS, il sistema operativo dei firewall Firebox della vendor statunitense. Secondo l'advisory ZDI-26-501, la vulnerabilità specifica si trova nella funzione comp_start_cb e riguarda la gestione degli archivi pacchetti firma. Il testo dell'advisory è esplicito: "The specific flaw exists within the handling of signature package archives in the sigd service. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations."
La mancata validazione del percorso consente a un attaccante di effettuare un path traversal, scrivendo file al di fuori delle directory previste dal flusso legittimo del servizio. Questa primitiva di scrittura arbitraria non costituisce di per sé un'esecuzione di codice diretta, ma fornisce il tassello iniziale di una catena di kill più ampia. La persistenza nel sistema e il posizionamento di file in location strategiche — senza che il dossier specifichi quali — sono la base per l'escalation documentata.
"An attacker can leverage this vulnerability in conjunction with other vulnerabilities to execute code in the context of the samld user." — ZDI Advisory ZDI-26-501
Il disallineamento tra ZDI e CVE: sigd o Management Web UI?
Un elemento di frizione nei documenti ufficiali riguarda la superficie di attacco esposta. L'advisory ZDI-26-501 identifica chiaramente il servizio sigd come sede della vulnerabilità, con la funzione comp_start_cb e l'handling degli archivi pacchetti firma. Il record CVE-2026-13054, invece, descrive la falla come presente nel "WatchGuard Fireware OS Management Web UI", con impatto su "a privileged authenticated attacker" che può "write arbitrary files on the Firebox's filesystem".
Questa discrepanza non mette in discussione l'esistenza della vulnerabilità — entrambe le fonti convergono sulla natura directory traversal e sulla creazione di file arbitrari — ma solleva una domanda non risolta dal dossier: se l'interfaccia di amministrazione web esponga direttamente il servizio sigd, oppure se esistano due vettori di attacco distinti che conducono allo stesso risultato. Il CVE menziona privilegi elevati, dove l'advisory ZDI parla di autenticazione generica. La natura esatta del disallineamento rimane non specificata dalle fonti disponibili.
Il profilo di rischio: CVSS 8.6 e il vettore di attacco
Il record CVE ufficiale assegna alla vulnerabilità un punteggio CVSS 4.0 di 8.6, classificazione HIGH. Il vettore completo — AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N — indica un attacco rete con bassa complessità, ma con privilegi richiesti (PR:H). Questo elemento attenua la superficie di esposizione: l'attaccante deve disporre di credenziali valide. Tuttavia, per organizzazioni con account con privilegi eccessivi, password compromesse o configurazioni che espongano l'interfaccia di gestione, il rischio resta concreto.
La CWE-22 — Improper Limitation of a Pathname to a Restricted Directory — classifica formalmente la natura della falla. La combinazione con altre vulnerabilità per l'RCE come utente samld è particolarmente rilevante: samld è il demone che gestisce l'autenticazione SAML nei dispositivi WatchGuard, un componente sensibile che interagisce con il core di sicurezza del sistema. L'esecuzione in questo contesto potrebbe compromettere non solo il singolo dispositivo ma l'integrità dell'infrastruttura di autenticazione federata ad esso collegata.
Timeline e disponibilità della correzione
Nicholas Zubrisky ha segnalato la vulnerabilità a WatchGuard il 22 maggio 2026. La divulgazione coordinata è avvenuta 68 giorni dopo, il 29 luglio 2026, con la pubblicazione dell'advisory ZDI-26-501 e il rilascio di un aggiornamento da parte del vendor. L'intervallo tra report e patch — poco più di due mesi — rientra nelle finestre tipiche di disclosure coordinata, ma non include dettagli sulle build corrette né su un URL specifico dell'avviso ufficiale WatchGuard.
Le versioni affette elencate nel record CVE coprono tre linee di rilascio principali: la serie 11.x fino a 11.12.4_Update1, la 12.x fino a 12.12, e le release annuali 2025.1-2026.2. L'assenza di dettagli sulle patch correttive nel testo dell'advisory ZDI lascia un punto di attenzione operativo: gli amministratori devono verificare autonomamente la disponibilità degli aggiornamenti attraverso i canali ufficiali WatchGuard.
Cosa fare adesso
- Verificare la versione di Fireware OS in esecuzione sui dispositivi gestiti e confrontarla con le release affette elencate nel record CVE-2026-13054.
- Applicare l'aggiornamento rilasciato da WatchGuard, secondo quanto indicato nell'advisory ZDI-26-501.
- Controllare i log di accesso all'interfaccia di gestione e al servizio sigd per anomalie di autenticazione o operazioni su archivi pacchetti firma.
- Rivedere i privilegi associati agli account di amministrazione, limitando l'accesso a quanto strettamente necessario.
L'importanza del contesto: autenticazione non significa innocuità
La vulnerabilità richiede autenticazione, e questo elemento spesso induce a sottovalutare la priorità di mitigazione. È un errore. I firewall sono per definizione dispositivi di confine, con interfacce di gestione che — anche se non esposte direttamente su internet — sono accessibili da segmenti di rete interni o tramite jump host. Un attaccante che abbia già ottenuto credenziali attraverso phishing, password reuse o lateral movement trova in questa falla una strada accelerata verso il controllo del perimetro.
La catena documentata — autenticazione, directory traversal, creazione file, concatenazione con altre vulnerabilità, RCE come samld — riflette un pattern comune nelle offensive moderne contro infrastrutture di rete. La singola primitiva è modesta; la composizione è letale. Per questo il CVSS 8.6 non è una misura dell'immediatezza dell'exploit, ma del potenziale danno una volta soddisfatte le condizioni di attacco.
Domande frequenti
La vulnerabilità permette RCE senza autenticazione?
No. L'advisory ZDI-26-501 specifica che l'autenticazione è richiesta. L'esecuzione di codice richiede inoltre la combinazione con altre vulnerabilità non dettagliate nel dossier.
Quali sono le versioni da aggiornare urgentemente?
Secondo il record CVE-2026-13054: Fireware OS 11.0 fino a 11.12.4_Update1, 12.0 fino a 12.12, e le release 2025.1 fino a 2026.2.
È disponibile un exploit pubblico?
Il dossier non riporta la presenza di proof-of-concept o exploit in-the-wild.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-501/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-13054
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html